Langkah Teknikal dan Organisasi

Dokumen ini diterbitkan dalam beberapa bahasa. Sekiranya terdapat percanggahan antara versi bahasa, versi bahasa Poland adalah mengikat.

Versi 1.1 · Kemas kini terakhir: 22 Oktober 2026

Langkah di bawah Art. 32 GDPR yang digunakan oleh LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, untuk melindungi perkhidmatan formexposed. Halaman ini menjadi sebahagian daripada Perjanjian Pemprosesan Data sebagai Lampiran 2.

1. Skop dan prinsip

Langkah terpakai kepada semua data yang diproses oleh perkhidmatan: data yang kami proses bagi pihak Pelanggan kami (diterangkan dalam Perjanjian Pemprosesan Data) dan data yang baginya kami sendiri ialah pengawal data, seperti akaun pelanggan dan log. Tiada tahap perlindungan berasingan bagi kedua-duanya; perkara yang melindungi akaun turut melindungi data yang diproses bagi pihak pelanggan.

Struktur di bawah Art. 32(1) GDPR. Penggunaan pseudonim dan penyulitan (perkara (a)) diliputi dalam bahagian 4; kerahsiaan, integriti, ketersediaan dan daya tahan sistem yang berterusan (perkara (b)) dalam bahagian 3, 5, 6 dan 7; keupayaan memulihkan ketersediaan tepat pada masanya selepas insiden (perkara (c)) dalam bahagian 7.1; proses menguji, menilai dan menaksir keberkesanan secara berkala (perkara (d)) dalam bahagian 9. Kami memilih langkah berdasarkan risiko yang diterangkan dalam Penilaian Impak Perlindungan Data kami, dengan mengambil kira tahap teknologi semasa dan kos pelaksanaan.

Prinsip: diukur, bukan sekadar dirancang. Hanya perkara yang benar-benar telah dilaksanakan dalam kod atau pengendalian dinyatakan di sini. Perkara yang dirancang tetapi belum dilaksanakan disenaraikan secara nyata sebagai “dirancang” dalam bahagian 10. Langkah yang tidak dinyatakan di sini tidak boleh dianggap wujud secara tersirat.

Nama mesin, alamat dalaman, port, nama pengguna dan versi perisian sengaja tidak dinyatakan. Maklumat itu tidak membantu penilaian langkah, tetapi membantu orang yang mahu memintasnya. Sesiapa yang memerlukannya bagi audit di bawah Perjanjian Pemprosesan Data akan menerimanya semasa audit itu di bawah kewajipan kerahsiaan, setakat diperlukan untuk audit.

2. Struktur perkhidmatan

Perkhidmatan berjalan pada dua pelayan milik penyedia sendiri di Poland, yang terletak dalam rangkaian dalaman yang sama:

Pelayan web dengan pangkalan data. Pelayan menyampaikan aplikasi, menyimpan pangkalan data, menghantar pemberitahuan dan membuat sandaran data. Hanya pelayan ini disediakan untuk menerima permintaan daripada internet.
Pelayan imbasan. Pelayan menjalankan semakan laman web pihak ketiga dan laman web sendiri dalam pelayar serta menjalankan model bahasa yang mengelaskan borang individu, meringkaskan dapatan imbasan sebagai pelan tindakan mengikut keutamaan bagi akaun berbayar dan menambahkan kod dalam “Fix it for me”. Pelayan tidak disediakan untuk menerima permintaan daripada internet, tetapi mengambil tugasnya sendiri daripada pelayan web dan mengembalikan keputusan ke situ.

Tiada penyedia pengehosan, pusat data atau awan terlibat dalam pengendalian, dan tiada apa-apa dihantar kepada perkhidmatan AI luaran. Pihak ketiga yang menerima data dinyatakan pada halaman Subpemproses Data.

3. Kerahsiaan

3.1 Kawalan akses fizikal

Pelayan terletak di premis penyedia di Poland yang tidak terbuka kepada orang awam. Hanya pemilik mempunyai akses (seperti dinyatakan oleh pengendali). Alamat tepat lokasi sengaja tidak diberikan di sini.

3.2 Kawalan akses: log masuk ke perkhidmatan

Kata laluan hanya disimpan sebagai hash menggunakan kaedah standard PHP (bcrypt). Jika kaedah standard berubah, hash diperbaharui pada log masuk seterusnya. Bagi percubaan log masuk dengan alamat yang tidak diketahui, pelayan tetap mengira hash supaya masa respons tidak mendedahkan kewujudan akaun. Begitu juga, respons kepada permintaan penetapan semula kata laluan tidak mendedahkan kewujudan akaun melalui kata-kata atau tempohnya; e-mel penetapan semula dihantar ke alamat yang sama paling kerap tiga kali sejam. Kata laluan baharu mesti sekurang-kurangnya sepuluh aksara panjang dan tidak boleh melebihi 72 bait (UTF-8), kerana bcrypt tidak mengambil kira lebih banyak bait. Penukaran kata laluan melog keluar semua peranti lain; penetapan semula melalui pautan melog keluar semua peranti, dan pautan hanya sah sekali.
Sekatan selepas percubaan gagal. Log masuk yang gagal dikira bagi setiap alamat IP; selepas terlalu banyak dalam masa singkat (pada masa ini lapan dalam 15 minit), log masuk daripada alamat itu disekat buat sementara waktu. Log masuk yang berjaya menetapkan semula pembilang ini. Percubaan dipadam selepas tujuh hari. Selain itu, sebelum setiap semakan kata laluan, satu percubaan dikira bagi setiap akaun (bagi alamat yang tidak diketahui, mengikut alamat yang dimasukkan) dan bagi setiap alamat IP, termasuk percubaan berjaya: pada masa ini paling banyak lapan bagi setiap akaun daripada alamat IP yang sama dan 80 bagi setiap alamat IP dalam 15 minit; had yang jauh lebih tinggi terpakai bagi setiap akaun merentas semua alamat yang digabungkan, untuk mencegah penekaan teragih. Oleh itu, percubaan gagal daripada alamat lain tidak lagi mengunci pemilik daripada akaunnya. Pembilang ini hanya mengandungi kunci HMAC, tanpa alamat e-mel atau IP dalam teks biasa, dan tamat tempoh bersama tetingkap masanya. Jika storan pembilang tidak tersedia, log masuk ditolak, bukan dibenarkan. Had yang serupa terpakai kepada pengesahan kata laluan sebelum penukaran kata laluan atau alamat, pengaktifan atau penyahaktifan faktor kedua, pemindahan ruang kerja, eksport data dan pemadaman akaun (lima percubaan bagi setiap akaun dalam 15 minit), pendaftaran (sepuluh bagi setiap alamat IP sejam) dan kata laluan portal pelanggan (sepuluh percubaan bagi setiap portal dan alamat IP, 50 bagi setiap portal dalam 15 minit).
Faktor kedua. Setiap akaun boleh mengaktifkan log masuk dengan kod sekali guna di bawah RFC 6238 (TOTP). Rahsianya disimpan secara tersulit dalam pangkalan data; kunci tidak disimpan dalam pangkalan data, maka ekstrak pangkalan data sahaja tidak mencukupi. Kod yang diterima tidak sah kali kedua. Sepuluh kod pemulihan hanya disimpan sebagai hash. Kod sekali guna dan pemulihan dihadkan kepada sepuluh percubaan bagi setiap akaun dalam 15 minit, termasuk semasa persediaan.
Bahagian pentadbiran hanya dengan faktor kedua. Bahagian pentadbiran pengendali hanya dibuka kepada akaun dengan faktor kedua diaktifkan. Senarai semak persediaan melaporkan setiap akaun pentadbir tanpa faktor kedua.
Sesi. Kuki sesi tidak boleh dibaca oleh skrip (HttpOnly), hanya dihantar melalui HTTPS (Secure) dan tidak dihantar bersama permintaan daripada laman pihak ketiga yang boleh mengubah sesuatu (SameSite=Lax). Semasa log masuk, ID sesi baharu dicipta supaya ID yang ditanam terlebih dahulu tidak lagi sah; pelayan tidak menerima ID sesi yang tidak dikeluarkannya sendiri. Setiap akaun melihat perantinya yang log masuk dan boleh melog keluarnya secara individu.
“Kekalkan log masuk saya” adalah pilihan dan sah selama 30 hari, tetapi bukan bagi akaun dengan hak pentadbiran; akaun itu sentiasa log masuk menggunakan kata laluan dan faktor kedua. Token terdiri daripada dua bahagian; bahagian pengesahan hanya disimpan dalam pangkalan data sebagai hash. Setiap penggunaan menggantikannya dengan token baharu, dan walaupun permintaan berlaku serentak, setiap token hanya sah sekali, supaya token yang dicuri dikesan selewat-lewatnya pada lawatan sebenar seterusnya.
Pautan dalam e-mel. Pautan pengesahan alamat dan penetapan semula kata laluan hanya disimpan dalam pangkalan data sebagai hash. Pautan penetapan semula sah selama satu jam, pautan pengesahan pendaftaran selama 72 jam dan pautan pengesahan alamat yang diubah selama 24 jam. Jika alamat e-mel diubah, pautan penetapan semula yang belum digunakan menjadi tidak sah.
Antara muka. Kunci API, kod sambungan bagi sambungan dan kod penyambungan hanya disimpan sebagai hash. Kunci API hanya boleh digunakan untuk bilangan kali yang terhad seminit; kod sambungan bagi sambungan sah selama 15 minit dan hanya sekali.
Perlindungan bot pada borang awam (pendaftaran, log masuk, kata laluan, semakan, alat pengepala, pengecualian, sokongan dan hubungan): Google reCAPTCHA, yang hanya dimuatkan semasa penghantaran. Hanya respons sah daripada Google dengan skor mencukupi bagi tindakan borang yang tepat diterima; jika Google tidak memberikan respons dalam masa tiga saat, penghantaran ditolak. Butiran terdapat dalam Dasar Privasi.

3.3 Kawalan akses: pentadbiran pelayan

Pelayan yang boleh dicapai daripada internet menggunakan penapis paket untuk membenarkan hanya perkhidmatan yang ditawarkannya dan menyekat alamat secara automatik selepas kegagalan log masuk berulang ke pentadbiran pelayan.
Proses automatik antara pelayan menggunakan kuncinya sendiri dengan hak yang dihadkan secara sempit. Kunci yang digunakan oleh pelayan web untuk menyampaikan versi baharu pengimbas hanya boleh melaksanakan senarai arahan tetap pada pelayan imbasan dan hanya boleh menyalin, dengan akses tulis sahaja, ke direktori pengimbas; log masuk interaktif tidak mungkin dengannya, dan setiap arahan yang ditolak dicatat dalam log. Begitu juga, pelayan imbasan hanya boleh menulis tangkapan skrin ke direktori tertentu pada pelayan web.
Proses yang menyampaikan laman web tidak mempunyai akses tulis kepada pemasangan pengeluaran atau kunci pelayan imbasan. Pelancaran kod yang dicetuskan dalam bahagian pentadbiran hanya merekodkan tugas, yang dilaksanakan oleh proses berasingan.
Rahsia seperti butiran log masuk pangkalan data dan kunci disimpan dalam fail konfigurasi di luar direktori yang disampaikan dan tidak turut disalin semasa pelancaran kod. Konfigurasi pelayan web tidak diedarkan melalui antara muka web.

3.4 Kawalan kebenaran: hak dalam perkhidmatan

Peranan. Setiap ruang kerja mempunyai peranan pemilik, pentadbir dan pemerhati. Pengubahan, pemadaman, jemputan dan penyimpanan butiran log masuk dikhaskan untuk pemilik dan pentadbir; hanya pemilik boleh mengubah peranan dan mengalih keluar ahli. Jemputan hanya sah selagi orang yang menghantarnya masih pemilik atau pentadbir. Pemerhati hanya melihat alamat webhook dan saluran sembang yang dipendekkan kepada hos, kerana alamat sahaja membolehkan penghantaran ke saluran. Semakan dilakukan pada pelayan, bukan hanya dalam antara muka.
Pengikatan kepada ruang kerja. Domain dan tetapan hanya boleh diakses oleh ahli ruang kerja. Bagi setiap semakan, Perkhidmatan mencipta laporan di bawah pautan rawak yang tidak dapat diteka; keputusan dan tangkapan skrin semakan boleh diakses melalui pautan ini tanpa log masuk, manakala tangkapan skrin hanya boleh diakses bersama pautan laporannya. Pautan dipaparkan dalam akaun dan amaran; sesiapa yang memberikan pautan turut memberikan akses kepada laporan.
Permintaan yang mengubah keadaan memerlukan token keselamatan bagi setiap sesi (perlindungan CSRF), yang dibandingkan dalam masa tetap.
“Lihat sebagai pelanggan”. Untuk sokongan, pengendali boleh melihat aplikasi sebagaimana dilihat oleh Pelanggan. Paparan tamat selepas satu jam, menyekat perubahan kata laluan, alamat, faktor kedua, peranti, langganan, eksport dan pemadaman, menutup bahagian pentadbiran sepanjang masa itu dan dicatat dalam log. Penamatan paparan melog keluar pengendali sepenuhnya; pengendali hanya boleh kembali ke bahagian pentadbiran dengan log masuk semula menggunakan kata laluan dan faktor kedua. Pelanggan dapat melihatnya dalam eksport datanya.
Pentadbiran. Hanya beberapa akaun yang diberi kuasa secara nyata mempunyai hak pentadbiran; setiap penetapan semula faktor kedua oleh pentadbiran dicatat dalam log.

3.5 Kawalan pengasingan

Data pelanggan dipisahkan secara logik mengikut ruang kerja. Setiap laluan baca dan tulis dalam bahagian selepas log masuk membawa pengikatan ini; laporan juga boleh diakses melalui pautannya (bahagian 3.4).
Pembangunan dan pengendalian berjalan dalam pemasangan berasingan dengan pangkalan data dan pengguna pangkalan data berasingan. Pengguna pembangunan tidak mempunyai akses kepada pangkalan data pengeluaran. Data pelanggan sebenar tidak disalin ke pembangunan; di situ kami menggunakan data contoh yang dijana.
Bagi setiap persekitaran, pengimbas mempunyai butiran log masuk sendiri dengan hak hanya kepada data yang diperlukan untuk tugasnya. Pengimbas tidak boleh membaca akaun, pengebilan atau log.
Perkhidmatan lain daripada penyedia yang sama turut berjalan pada pelayan web. Perkhidmatan itu mempunyai pangkalan data dan pengguna pangkalan data sendiri tanpa akses kepada data perkhidmatan ini.

4. Penyulitan, penggunaan pseudonim dan peminimuman data

4.1 Butiran log masuk bagi imbasan selepas log masuk

Bagi fungsi ini, Pelanggan menyimpan nama pengguna dan kata laluan akaun ujian. Inilah data paling sensitif dalam perkhidmatan dan oleh itu dilindungi secara berbeza daripada semua data lain:

Semasa penyimpanan, pelayan web menyulitkan data menggunakan kunci awam pelayan imbasan (ECIES: X25519 dengan kunci sekali guna bagi setiap rekod, HKDF-SHA256, AES-256-GCM). Kunci peribadi hanya wujud pada pelayan imbasan. Pelayan web, pangkalan data dan sandaran hanya mengandungi teks tersulit; kami juga tidak boleh membacanya di situ.
Setiap rekod diikat secara kriptografi kepada domainnya. Jika dipindahkan ke domain lain, penyahsulitan gagal.
Bagi imbasan, teks tersulit dilampirkan pada tugas. Pelayan imbasan menyahsulitkannya dan memberikan butiran log masuk kepada bekas semakan hanya melalui input standard, bukan sebagai argumen baris perintah yang akan kelihatan dalam senarai proses. Sebaik sahaja pelayan imbasan membacanya, teks tersulit dipadam daripada tugas; suatu proses membersihkan sebarang baki selewat-lewatnya selepas satu jam.
Butiran log masuk tidak pernah dipaparkan, tidak pernah dicatat dalam log, tidak pernah dikeluarkan melalui API dan tidak dieksport. Antara muka hanya menunjukkan aksara pertama dan panjang nama pengguna. Pengalihan keluar butiran menulis ganti teks tersulit.
Selepas log masuk, pengimbas hanya membaca: tiada penghantaran, tiada ujian aktif, tiada tangkapan skrin, tiada halaman log keluar, pemadaman atau pembatalan.

4.2 Penyulitan dan hash lanjut

Kata laluan, kod pemulihan, kata laluan portal pelanggan, kunci API, kod sambungan dan penyambungan, token “Kekalkan log masuk saya”, ID sesi dalam senarai peranti serta pautan pengesahan dan penetapan semula hanya disimpan sebagai hash.
Rahsia faktor kedua disimpan secara tersulit (bahagian 3.2).
Kami tidak mendakwa bahawa keseluruhan pangkalan data disulitkan semasa penyimpanan. Nilai sensitif dilindungi secara individu sebagaimana diterangkan di atas.

4.3 Peminimuman data melalui reka bentuk

Semakan penghantaran e-mel: Hanya pengepala dan paling banyak 8 KB pertama teks dibaca. Hanya masa, perkaitan, ID penghantaran ujian jika berkenaan dan keputusan semakan ketulenan (SPF, DKIM, DMARC) dimasukkan ke dalam pangkalan data, bukan kandungan atau alamat penuh penghantar. Keputusan ketulenan e-mel terkini disimpan bersama domain dan ditulis ganti oleh keputusan seterusnya; keputusan mengandungi alamat IP pelayan e-mel yang menyampaikan e-mel dan domain e-mel penghantar. E-mel dipadam daripada peti mel selepas pemprosesan berjaya; jika pengambilan atau pemadaman gagal, ini berlaku pada pelaksanaan seterusnya yang berjaya.
Semakan: Struktur borang disimpan berserta nama medan, jenis dan label, atribut wajib dan keterlihatan, tanpa nilai; pengimbas hanya membaca permulaan medan tersembunyi yang telah diisi (sehingga 24 aksara) dan atribut data (sehingga 60 aksara) semasa semakan dan tidak menyimpannya. Tangkapan skrin semakan penuh tidak disunting untuk menyembunyikan maklumat; hanya semakan dalam pelayar menutupi medan input. Alamat penerima borang hanya disimpan sebagai domain. Penghantaran ujian aktif hanya mengandungi teks ujian berlabel tanpa data peribadi.
Sambungan WordPress dan TYPO3 hanya menghantar angka harian dan ciri seperti inventori pemalam, dan bagi pemalam WordPress yang disambungkan, juga domain pautan daripada mesej yang disekat untuk perlindungan berkumpulan (diaktifkan secara lalai); tiada kandungan lain, tiada nama, alamat atau alamat IP pelawat. Kiraan pilihan borang dan ralat medan dinyahaktifkan secara lalai.
“Fix it for me”: Kod yang ditampalkan hanya diproses sepanjang permintaan dan tidak disimpan.
Lencana: Imej lencana pada laman web pelanggan tidak menetapkan kuki dan tidak memulakan sesi.
Pemberitahuan operasi ke telefon pengendali ialah teks tetap tanpa pemboleh ubah, iaitu tanpa nama, alamat atau kandungan. Pemberitahuan ralat melalui e-mel kepada pengendali mengandungi teks mentah mesej ralat, tanpa pembersihan dan dipendekkan kepada 400 aksara; dalam kes individu, teks mungkin mengandungi alamat atau pautan.
Perlindungan berkumpulan: Antara sambungan Pelanggan, hanya domain daripada pautan dalam spam yang disekat dikongsi; pertukaran rangkaian IP dinyahaktifkan.
Lokasi: Negara alamat IP ditentukan daripada fail pangkalan data setempat; tiada alamat dihantar kepada perkhidmatan geolokasi.

5. Perlindungan daripada penyalahgunaan pengimbas

Pengimbas memuatkan halaman pihak ketiga menggunakan pelayar sebenar. Tanpa perlindungan, pengimbas akan menjadi alat yang membolehkan seseorang dari luar mencapai rangkaian dalaman kami atau sasaran bukan awam lain (pemalsuan permintaan sebelah pelayan). Oleh itu, terdapat dua lapisan bebas dan pengasingan setiap pelaksanaan individu.

5.1 Pelaksanaan terasing

Setiap semakan berjalan dalam bekasnya sendiri, yang dialih keluar selepas itu. Semakan berjalan tanpa hak pentadbir, tanpa keupayaan sistem pengendalian tambahan dan tanpa kemungkinan meningkatkan hak. Sistem failnya adalah baca sahaja kecuali kawasan kecil yang tidak kekal.
Memori, bilangan proses dan masa pelaksanaan dihadkan; pelaksanaan yang melebihi masa ditamatkan.

5.2 Rangkaian: dua lapisan

Lapisan pertama, dalam pengimbas: Sebelum imbasan dan kemudian bagi setiap permintaan individu pelayar, termasuk pengalihan dan kandungan terbenam, alamat hasil resolusi disemak. Rangkaian peribadi, setempat, terpelihara dan dokumentasi (IPv4 dan IPv6) ditolak, begitu juga port selain port lazim untuk web. Pelayar tidak membenarkan service worker, dan sambungan WebSocket ditutup, kerana kedua-duanya boleh memintas semakan ini.
Lapisan kedua, dalam rangkaian: Bekas berjalan dalam rangkaiannya sendiri. Peraturan tembok api hanya membenarkan sambungan dari situ ke internet pada port web; sambungan ke rangkaian peribadi, termasuk rangkaian dalaman kami yang mengandungi pelayan web dan pangkalan data, disekat. Pengecualian yang diperlukan oleh pelaksanaan semakan itu sendiri dihadkan kepada keperluan dan diterangkan dalam dokumentasi dalaman kami. Lapisan ini juga berfungsi jika nama hanya menghasilkan alamat berbeza selepas semakan pertama.

5.3 Permintaan yang dibuat oleh pelayan web

Apabila pelayan web sendiri meminta alamat pihak ketiga – bagi bukti hak kawalan domain, alat pengepala, pencarian fail terdedah, permintaan semakan berkala borang, pertanyaan RDAP dan semakan sijil, webhook dan amaran sembang serta titik semakan kedua pilihan – peraturan yang sama terpakai: hanya protokol web pada port web lazim (webhook dan amaran sembang hanya melalui HTTPS pada port standard), hanya alamat awam, sambungan hanya kepada alamat tepat yang disemak terlebih dahulu supaya nama tidak boleh dialihkan kemudian kepada sasaran dalaman, pengalihan sama ada langsung tidak diikuti atau hanya diikuti secara manual dan disemak semula setiap kali, had masa singkat; bagi bukti hak kawalan domain, permintaan semakan berkala borang dan titik semakan kedua dalam semakan pelayar, saiz respons juga dihadkan.

5.4 Perkara yang tidak dilakukan oleh pengimbas pada laman pihak ketiga

Penghantaran ujian aktif (paling banyak lima bagi setiap semakan) hanya tersedia bagi Pelanggan untuk domain yang bukti hak kawalannya telah diberikan (DNS, tag meta, fail atau sambungan); satu-satunya pengecualian ialah semakan dalaman domain ujian dan demo kami sendiri. Nama hos domain dengan bukti hak kawalan tidak boleh diubah supaya bukti tidak berpindah kepada hos lain. Semua perkara lain adalah pasif: membaca halaman seperti pelawat.
Semakan dalam pelayar berjalan sehingga peringkat sebelum penghantaran dan tidak mencetuskan pesanan, pembayaran atau penghantaran.
Domain dalam senarai pengecualian tidak disemak; pemantauan yang sedang berjalan tamat pada semakan berjadual seterusnya.

6. Integriti: pemindahan dan input

6.1 Pengangkutan data

Aplikasi hanya boleh dicapai daripada internet melalui HTTPS; pelayar diarahkan menggunakan HTTPS sahaja selama satu tahun (HSTS). Sijil diperbaharui secara automatik.
Pengepala lanjut mengehadkan pembenaman aplikasi dalam halaman pihak ketiga, penekaan jenis fail dan penghantaran borang ke sasaran pihak ketiga. Dasar keselamatan kandungan hanya membenarkan skrip berjalan dalam aplikasi jika diluluskan oleh pelayan melalui respons berkenaan; pelayar semasa tidak melaksanakan skrip atau pengendali peristiwa yang disuntik dalam HTML.
Peti mel semakan penghantaran e-mel diambil melalui sambungan tersulit dengan pengesahan sijil.
Webhook boleh ditandatangani menggunakan rahsia Pelanggan (HMAC-SHA256 dengan cap masa), supaya penerima boleh mengesahkan asal dan integriti. Permintaan ke titik semakan kedua pilihan ditandatangani, dan bagi semakan dalam pelayar, responsnya juga ditandatangani.
Dinyatakan secara terbuka: Sambungan dalam rangkaian dalaman kami tidak disulitkan secara menyeluruh. Butiran log masuk bagi imbasan selepas log masuk kekal tersulit sepanjang proses (bahagian 4.1).

6.2 Kawalan input dan log

Tindakan penting dalam akaun dan ruang kerja (seperti log masuk, perubahan domain, destinasi amaran dan hak, pemadaman, akses sokongan) direkodkan dalam log aktiviti berserta akaun, masa, alamat IP dan negara, serta dipadam selepas 365 hari.
Rekod akses halaman yang disimpan untuk keselamatan dan pencegahan penyalahgunaan dipadam selepas 60 hari, log ralat selepas 90 hari dan kandungan e-mel yang dihantar selepas 30 hari. Token akses dalam alamat yang diminta dan referrer, seperti token pautan laporan atau portal, hanya dipaparkan dalam rekod akses halaman dalam bentuk yang disamarkan.
Penerimaan dokumen kontrak disimpan bersama versi yang dipaparkan, jumlah semak, masa, alamat IP dan pengecam pelayar.
Log bukti boleh diberikan cap masa daripada pihak berkuasa cap masa luaran; hanya jumlah semak kandungan dihantar kepadanya, bukan kandungan itu sendiri.

7. Ketersediaan dan daya tahan

7.1 Sandaran

Pangkalan data disandarkan setiap malam. Sandaran hanya menerima nama akhirnya selepas kandungannya disemak: program sandaran selesai dengan berjaya, sekurang-kurangnya satu rekod, bilangan jadual yang sama dengan pangkalan data dan baris penutup pelaksanaan lengkap. Sandaran lama hanya dialih keluar selepas sandaran baharu berjaya.
Setiap sandaran dipadam selepas 14 hari. Lokasi penyimpanan berada di luar mana-mana direktori yang disampaikan; lokasi dalam projek ditolak.
Ujian pemulihan: Sekali seminggu, sandaran terkini dimuatkan ke dalam pangkalan data sementara, dibandingkan jadual demi jadual dengan pangkalan data pengeluaran dan dipadam semula. Keputusan disimpan.
Jika sandaran atau ujian gagal, pemberitahuan dihantar melalui e-mel dan ke telefon pengendali.
Pemulihan selepas insiden: Jika pangkalan data gagal atau data rosak, kami memulihkan sandaran terkini yang telah diuji. Perubahan yang dibuat sejak sandaran itu, pada kebiasaannya paling banyak perubahan sehari, mungkin hilang dalam proses ini; jika sandaran telah gagal, kehilangan mungkin lebih banyak. Kami kemudian melaksanakan semula permintaan pemadaman kemudian yang diketahui (bahagian 8). Kami tidak memberikan komitmen terhadap masa pemulihan tertentu.
Batasan, dinyatakan secara terbuka: Sandaran pada masa ini disimpan di lokasi yang sama dengan pangkalan data dan tidak disulitkan secara berasingan. Sandaran melindungi daripada kesilapan pengendalian, perubahan yang salah dan data rosak, bukan kehilangan pelayan itu sendiri. Salinan tersulit di lokasi kedua sedang dirancang (bahagian 10).
Butiran log masuk bagi imbasan selepas log masuk hanya terkandung dalam sandaran sebagai teks tersulit; rahsia faktor kedua hanya dalam bentuk tersulit, dengan kunci di luar pangkalan data.

7.2 Pemantauan

Proses status menyemak komponen perkhidmatan setiap lima minit, termasuk pangkalan data, baris gilir dan isyarat berkala pengimbas, yang ditulis secara berkala oleh pengimbas walaupun semasa melahu. Jika komponen gagal, pemberitahuan dihantar; jika pulih, pemberitahuan pemulihan dihantar.
Pemantauan silang: Proses status tidak dapat melaporkan kegagalan mesin yang menjalankannya. Oleh itu, pelayan imbasan menyemak setiap minit sama ada aplikasi memberikan respons dan, selepas beberapa kegagalan berturut-turut, melaporkan melalui teks tetap ke telefon pengendali. Sebaliknya, pelayan web memantau isyarat berkala pengimbas; senarai semak persediaan menunjukkan sama ada pemantauan silang berjalan.
Amaran ralat: Jenis ralat yang belum pernah berlaku dilaporkan sekali dengan serta-merta; pengumpulan ralat hanya mencetuskan satu isyarat ke telefon pengendali; sekali sehari, gambaran keseluruhan dihantar. Ini bermakna kami tidak hanya mengetahui ralat buat kali pertama daripada Pelanggan.
Batasan, dinyatakan secara terbuka: Kedua-dua pelayan berada di lokasi yang sama. Kegagalan seluruh lokasi, contohnya bekalan elektrik atau sambungan internet, tidak dilaporkan oleh mana-mana mekanisme amaran tetapi disedari oleh manusia.

7.3 Perubahan dan pelancaran kod

Versi baharu terlebih dahulu dibina dan diuji dalam persekitaran pembangunan berasingan. Pelancaran kod menyemak semua prasyarat sebelum fail pertama ditulis, melaksanakan perubahan skema pangkalan data dan membenarkan semakan yang sedang berjalan selesai secara teratur sebelum pengimbas dimulakan semula.
Bagi aliran Pelanggan baharu, terdapat ujian asas melalui HTTP sebenar, yang dijalankan selepas pertukaran. Kami tidak mendakwa bahawa terdapat set ujian automatik sebelum setiap pelancaran kod individu.

8. Pemadaman dan tempoh penyimpanan

Proses pemadaman setiap malam menguatkuasakan tempoh yang dinyatakan dalam Dasar Privasi dan Perjanjian Pemprosesan Data. Proses membaca tetapan yang sama seperti yang digunakan untuk angka dalam teks; oleh itu, bagi tempoh ini, teks dan tingkah laku tidak berbeza.
Keputusan semakan termasuk tangkapan skrin dipadam selepas 13 bulan (yang terkini bagi setiap domain kekal), angka sambungan selepas 13 bulan, log penghantaran amaran selepas 90 hari dan permintaan sokongan selepas 24 bulan.
Pengalihan keluar domain memadam data domain, termasuk semakan, borang, dapatan, tangkapan skrin, laporan, tugas, destinasi dan log amaran, insiden, data penghantaran, butiran log masuk bagi imbasan selepas log masuk serta bukti.
Pemadaman akaun berlaku serta-merta; ruang kerja tanpa ahli lain dipadam bersama datanya, manakala ruang kerja dengan ahli lain diserahkan kepada ahli lain, dengan pentadbir diberi keutamaan dan, antara mereka, orang yang paling lama menjadi ahli. Sehingga tempoh masing-masing tamat, perkara berikut kekal: log yang entrinya mengekalkan nombor akaun lama, yang tidak lagi merujuk kepada akaun sedia ada, termasuk entri pemadaman, serta e-mel yang dihantar, bukti pemeteraian kontrak, permintaan sokongan, laporan semakan laman bakal pelanggan (sehingga 90 hari) dan data pengebilan pada Stripe; butiran terdapat dalam Dasar Privasi.
Data yang dipadam kekal dalam sandaran sehingga tamat tempoh selepas 14 hari. Pemadaman terpilih dalam sandaran tidak dilakukan; jika sandaran dipulihkan, permintaan pemadaman kemudian yang diketahui dilaksanakan semula secara manual.

9. Organisasi dan semakan

Orang: Perkhidmatan pada masa ini dikendalikan oleh pemilik sendiri. Orang lain hanya menerima akses selepas berjanji menjaga kerahsiaan dan hanya setakat yang diperlukan, serta memproses data hanya mengikut arahan kami (Art. 29 dan Art. 32(4) GDPR).
Subpemproses data: Kami hanya melantiknya selepas menyemak jaminannya dan di bawah kontrak menurut Art. 28(4) GDPR, serta menyenaraikannya pada halaman Subpemproses Data; butiran dikawal oleh Perjanjian Pemprosesan Data.
Pelanggaran data peribadi: Jika pelanggaran data peribadi melibatkan data yang diproses bagi pihak pelanggan, kami memaklumkan Pelanggan tanpa kelewatan yang tidak wajar, jika boleh dalam tempoh 48 jam; butiran dikawal oleh Perjanjian Pemprosesan Data.
Pelaporan kerentanan: Kami menerima laporan di Keselamatan dan melalui fail /.well-known/security.txt.
Senarai semak persediaan dan pelancaran: Dalam bahagian pentadbiran, senarai semak mengukur keadaan tetapan yang berkaitan dengan keselamatan, seperti sandaran, pentadbir tanpa faktor kedua, persediaan e-mel dan isyarat berkala, serta memaparkan penyimpangan.
Semakan langkah ini (Art. 32(1)(d) GDPR): pada setiap perubahan penting kepada perkhidmatan, selepas setiap insiden keselamatan dan selain itu sekurang-kurangnya sekali setahun. Dalam proses ini, kami menilai sama ada langkah berkesan dan masih sepadan dengan risiko, serta merekodkan keputusan dalam versi baharu halaman ini atau, jika tiada perubahan, dengan tarikh semakan dalam bahagian 11. Secara berterusan, senarai semak persediaan dan pelancaran mengukur keadaan tetapan yang diliputinya.
Audit luaran: Tiada ujian penembusan luaran ditempah pada masa ini, dan tiada pensijilan keselamatan. Perkara ini dinyatakan di sini supaya tiada sesiapa menganggapnya wujud.

10. Dirancang, belum dilaksanakan

Perkara ini bukan langkah yang kami komited untuk sediakan sehingga disenaraikan di sini sebagai telah dilaksanakan dalam versi baharu:

Sandaran di lokasi kedua: salinan tersulit sandaran setiap malam di luar pelayan, supaya kehilangan keseluruhan pelayan sekalipun tidak menyebabkan kehilangan data.
Titik semakan kedua: Pengesahan bebas semakan pelayar dari lokasi kedua telah disediakan dalam perkhidmatan tetapi belum dipasang untuk beroperasi. Tanpanya, tiada pengesahan dari lokasi kedua.
Pengukuhan pentadbiran pelayan: Usaha ini berterusan. Atas sebab yang diberikan dalam bahagian 1, kami tidak menerbitkan butiran.

11. Status dan versi

Versi 1.1 · Kemas kini terakhir: 22 Oktober 2026 · sekiranya terdapat percanggahan antara versi bahasa, versi bahasa Poland mengatasi versi lain dan bukannya versi bahasa Jerman; tiada perubahan lain.
Versi 1.0 · Kemas kini terakhir: 11 Oktober 2026 · versi pertama sebagai halaman berasingan; sebelum ini Lampiran 2 kepada Perjanjian Pemprosesan Data. Pembetulan berbanding lampiran sebelumnya: ujian pemulihan berjalan setiap minggu, sandaran berada pada pelayan yang sama, tiada set ujian automatik berjalan sebelum setiap pelancaran kod, sambungan dalam rangkaian dalaman tidak disulitkan secara menyeluruh. Perkara yang baru diterangkan: penyulitan butiran log masuk bagi imbasan selepas log masuk, pengasingan pengimbas, pemantauan silang dan amaran ralat.
Perubahan diterbitkan dengan nombor versi baharu di sini dan dalam gambaran keseluruhan Perubahan kepada Dokumen Kontrak; bagi sebarang pelemahan langkah, tempoh notis Perjanjian Pemprosesan Data terpakai.
Sekiranya terdapat percanggahan antara versi bahasa, versi bahasa Poland mengatasi versi lain.

Bagaimanakah kami boleh membantu?